Openbare persoonsgegevens zijn niet vogelvrij

AIS is een systeem voor het tracken van schepen met behulp van door die schepen uitgezonden radiosignalen. Het systeem is verplicht voor internationaal scheepvaartverkeer en deels ook binnenlands. In hoeverre zijn deze gegevens persoonsgegevens? En welke consequenties zijn daaraan verbonden voor de gegevens verzamelaar?

1. INLEIDING

De redactie van Weg & Wagen heeft mij gevraagd om een bijdrage te schrijven over de privacyaspecten van het Automatic Identification System (AIS) voor de scheepvaart. Dit naar aanleiding van een bericht begin dit jaar op TotaalTrans (1). Daarin valt te lezen dat de ASV (Algemeene Schippers Vereeniging) melding heeft gemaakt van vermeend misbruik van AIS bij de nationale privacytoezichthouder, het CBP (College Bescherming Persoonsgegevens). Nu ben ik onvoldoende bekend met AIS om dit onderwerp volledig uit te kunnen diepen, maar het is een mooie aanleiding om eens wat aspecten van de privacywetgeving toe te lichten.

AIS is een systeem voor het tracken van schepen met behulp van door die schepen uitgezonden radiosignalen. Het is ontwikkeld door de International Maritime Organization (IMO), die het verplicht stelt voor een groot deel van het internationale scheepvaartverkeer. Ook voor binnenlands scheepvaartverkeer wordt het gebruik van AIS steeds vaker verplicht gesteld.

2. MOGELIJK MISBRUIK VAN AIS-GEGEVENS

De ASV trok aan de bel over het gebruik van AIS-gegevens in twee situaties:

Een lokale politieke partij uit Gorinchem gebruikte AIS-gegevens om een pleidooi tegen het uitbreiden van een overnachtingshaven kracht bij te zetten. Verzekeringsmaatschappij EOC roept bewoners van woonarken op om schade van zuiging of golfslag door passerende schepen te melden en daarbij met behulp van AIS-gegevens vast te stellen welk schip de schade veroorzaakt heeft.

Aan die AIS-gegevens is gemakkelijk te komen. Er zijn verschillende websites die met behulp van een team van vrijwilligers AIS-gegevens verzamelen en ze real time op internet publiceren. De bekendste van deze sites lijkt marinetraffic.com.

Als ik het over “privacy” heb, dan bedoel ik daarmee het op behoorlijke, zorgvuldige en rechtmatige wijze omgaan met persoonsgegevens. Die zinsnede komt rechtstreeks uit de Wet bescherming persoonsgegevens (WBP), onze overkoepelende privacywet die de Nederlandse vertaling is van een EU-privacyrichtlijn. Met deze definitie van privacy kan er alleen maar sprake zijn van privacyaspecten als er sprake is van persoonsgegevens. Dat is dus de eerste vraag die we moeten beantwoorden. De definitie van “persoonsgegeven” in de WBP is heel ruim: “ieder gegeven betreffende een geïdentificeerde of identificeerbare persoon”. Dat geldt ook als de gegevens niet rechtstreeks over de persoon in kwestie gaan, maar bijvoorbeeld over een product of proces. Ook dan kunnen ze indirect iets over de persoon zeggen. Daarvan lijkt hier wel sprake te zijn. Waar een schip zich bevindt, zegt immers ook waar de opvarenden zich bevinden. En het zegt ook iets over de eigenaar van het schip, als dat een persoon is. Dat het om persoonsgegevens gaat, wil nog niet zeggen dat de gegevens ook “als persoonsgegevens” gebruikt worden. In de eerste situatie hierboven lijkt me dat niet het geval: het gaat om statistieken, niet om de gegevens van individuele schepen, laat staan hun opvarenden. In de tweede situatie is dat anders: het doel is om bij de eigenaar van het schip een schadeclaim neer te kunnen leggen, dus als die eigenaar een persoon is dan worden de gegevens zeker als persoonsgegevens gebruikt.

Omdat het bij AIS dus om persoonsgegevens gaat, zijn de EU-privacyrichtlijn en de daarop gebaseerde WBP van toepassing. Maar ook het verplichte gebruik van AIS is gebaseerd op een EU-richtlijn (2) (die op haar beurt weer een vertaling is van de IMO-verplichtingen). Die twee lijken met elkaar te botsen als het gaat om het verplicht gebruik van AIS. Een belangrijke regel uit de EU-privacyrichtlijn is namelijk dat persoonsgegevens adequaat beveiligd moeten worden. Dat is met AIS-gegevens echter niet het geval: die zijn helemaal open en kunnen door iedereen met de juiste antenne uit de lucht worden geplukt.

Dat AIS-gegevens voor iedereen toegankelijk zijn, wil overigens nog niet zeggen dat iedereen er ook mee mag doen wat hij wil. De WBP-regels gelden voor alle persoonsgegevens, ook “openbare”. Om die reden is er dan ook in het Besluit meldingsformaliteiten en gegevensverwerkingen van alles geregeld over welke instanties precies wat met de AIS-gegevens mogen doen. Buiten de kaders van het besluit moeten we echter terugvallen op de WBP. Wie AIS-gegevens bijvoorbeeld verzamelt en vervolgens op internet publiceert, moet voldoen aan allerlei toetsen in de WBP c.q. de EU-privacyrichtlijn. Het is maar zeer de vraag of een site als marinetraffic.com daaraan voldoet. Kennelijk vindt de Cypriotische privacytoezichthouder het echter niet nodig om op dit punt te handhaven. We zien hier mooi het verschil tussen recht hebben en recht krijgen. In theorie is het allemaal goed geregeld, in de praktijk verre van. Wat dat betreft maakte de minister er zich richting de Kamer dan ook wel gemakkelijk vanaf toen ze begin dit jaar vertelde dat het met privacy en AIS wel snor zit dankzij de WBP. (3) Waarbij ze ook nog eens helemaal voorbij ging aan de ontbrekende beveiliging van AIS.

3. TENSLOTTE: HERGEBRUIK AIS-GEGEVENS VOOR BINNENVAART

Interessant genoeg ligt het allemaal net iets anders als het gaat over ander gebruik van AIS. We hebben het dan met name over het inzetten van AIS als ondersteunende technologie voor het realiseren van river information services (RIS). Ook het inrichten van RIS is een Europese verplichting. Het boeiende verschil is dat daarbij het gebruik van AIS niet is voorgeschreven. Gelet op wat ik hierboven heb geschreven over de ontbrekende beveiliging van AIS, lijkt me dat de EU-privacyregels eraan in de weg staan dat het hebben van AIS voor de binnenscheepvaart verplicht wordt gesteld om RIS te faciliteren. Ook al is dat precies wat er op 1 december jl. is gebeurd voor het Rijnstroomgebied…



h1, h2, h3, h4, h5 { font-weight: bold !important; } h1, h2, h3 { font-size: 18px !important; } h4, h5 { font-size: 16px !important; } Print Friendly and PDF
Openbare persoonsgegevens zijn niet vogelvrij
Koen Versmissen partner bij Privacy Management Partners 31 oktober, 2015
Deel deze post
ArchiEF
Elektronische vrachtbrieven via het TransFollow-platform: een nieuwe cloud-dienst